在PHP中避免SQL注入最安全的方法是什么？

Question

我只是想知道這行代碼是否可以安全使用以避免SQL注入？

// username and password sent from form 
$myusername=$_POST['loginUserName']; 
$mypassword=$_POST['loginPassword'];

$myusername = stripslashes($myusername);
$mypassword = stripslashes($mypassword);
$myusername = mysql_real_escape_string($myusername);
$mypassword = mysql_real_escape_string($mypassword);

我需要條紋嗎？

Answer 1

使用預准備語句更安全，因此（潛在的惡意）值與查詢字符串分開，而不是依賴於轉義。 閱讀PHP數據對象 。

關於stripslashes() ，只有在你啟用PHP的magic_quotes_gpc功能時才應該這樣做 ，你不應該這樣做，因為它已被棄用。 但是，如果你想要健壯，請執行if (get_magic_quotes_gpc()) $myusername = stripslashes($myusername); 這樣當且僅當添加了一個斜杠時，它才會刪除一個斜杠。